如何在后台检查Azure AD用户是否已登录（SAML2场景）

针对你的需求——在不重定向着陆页、无法用iframe的前提下，后台检测用户Azure AD登录状态并区分员工/访客，以下是几个可行的方案：

1. 后台发起OIDC静默授权请求 #

虽然你用的是SAML2认证，但可以结合Azure AD支持的OIDC隐式流做静默检测：

• 后台构造请求到Azure AD授权端点，核心参数包括：response_type=id_token、prompt=none、你的应用客户端ID、重定向URI（可设为后台的回调接口）。
• 如果用户已在Azure AD保持登录会话，AD会直接返回ID Token；如果未登录，会返回login_required错误。
• 解析ID Token中的字段（比如userPrincipalName的域名、oid）判断是否为内部员工账号，未登录则自动触发访客认证流程。
• 注意：必须后台发起请求，避免前端跨域拦截，同时保护客户端密钥不暴露。

2. 用Refresh Token验证会话有效性 #

如果用户之前通过SAML2登录过，你可以在首次认证后，额外请求一个Refresh Token存储在后台：

• 当用户访问着陆页时，后台用Refresh Token向Azure AD令牌端点请求新的Access Token。
• 请求成功=用户仍处于登录状态；返回invalid_grant=用户已退出登录，切换访客流程。
• 通过返回的用户信息（比如jobTitle或自定义属性）快速区分员工和访客。

3. 本地会话Cookie+定期静默校验 #

• 用户首次SAML登录后，后台设置一个带过期时间的本地会话Cookie，过期时间同步SAML断言中的NotOnOrAfter字段。
• 用户访问着陆页时，先检查本地Cookie：
  • 有效则直接确认登录状态，判断员工/访客；
  • 无效则触发上述的静默授权或Refresh Token校验，减少对Azure AD的频繁调用。

核心注意点 #

• 所有检测逻辑必须在服务器端执行，前端无法绕过Azure AD的X-Frame-Options和跨域限制。
• 要处理AD返回的错误码：比如interaction_required（需要MFA等交互），此时也应切换到访客流程，避免强制用户跳转AD登录页。
• 员工/访客的区分可以提前在Azure AD中给用户打自定义标签，或者通过邮箱域名直接判断（比如内部员工用@company.com，访客用其他域名）。

内容的提问来源于stack exchange，提问作者Itay Moav -Malimovka